L'ENISA a publié le 13 juillet 2026 un modèle d'évaluation de la maturité de cyberrésilience pour les PME, accompagné d'un outil Excel prêt à l'emploi. Le document vise les petites et moyennes entreprises qui fabriquent des produits comportant des éléments numériques, c'est-à-dire le périmètre du règlement (UE) 2024/2847, le Cyber Resilience Act, dont l'essentiel s'applique le 11 décembre 2027 et dont les obligations de notification s'appliquent dès le 11 septembre 2026. Cet article décrit le fonctionnement du modèle, sa portée réelle, et la façon de l'articuler avec la préparation d'un dossier CRA.
Comment le modèle fonctionne
Le modèle repose sur cinq domaines : gouvernance et documentation ; gestion des risques, sécurité dès la conception et par défaut ; gestion des vulnérabilités et des correctifs ; gestion du cycle de vie du produit ; sensibilisation, compétences et aptitudes. Chaque domaine compte cinq questions, soit vingt-cinq au total, chacune notée sur une échelle de maturité de 1 à 5 : 1 non mis en œuvre, 2 informel, 3 documenté mais appliqué de manière incohérente, 4 appliqué de manière cohérente et revu, 5 mesuré et amélioré en continu.
Le calcul est une moyenne simple : moyenne des cinq questions par domaine, puis moyenne des cinq domaines. Le résultat classe l'entreprise dans l'un de trois profils : basique de 1,0 à 2,5, intermédiaire de 2,6 à 3,9, avancé de 4,0 à 5,0. Une annexe propose ensuite une liste d'actions par profil et par domaine, et l'ENISA recommande de répéter l'exercice une fois par an. Le temps estimé est d'environ deux heures. L'outil Excel publié avec le rapport reprend le questionnaire, le calcul et le tableau de bord à l'identique.
Ce que le modèle mesure
L'échelle porte sur la constance des processus, pas sur le contenu des obligations. Une même pratique, par exemple le traitement des vulnérabilités, peut être notée 2 si elle repose sur une personne et des habitudes, 3 si elle est écrite mais inégalement suivie, 4 si elle est appliquée et revue. Cette lecture est utile : elle distingue ce qui est documenté de ce qui est réellement pratiqué, une distinction qu'un inventaire d'exigences ne fait pas toujours apparaître.
Le périmètre thématique recoupe largement le CRA. On y retrouve l'analyse de risques produit, la sécurité dès la conception, la nomenclature des composants logiciels (SBOM) dans un format lisible par machine, la politique de divulgation coordonnée des vulnérabilités, les périodes de support et la communication de fin de support.
Ce que le modèle ne mesure pas
L'ENISA l'écrit elle-même, à deux reprises : un niveau de maturité avancé « ne remplace pas les obligations légales et ne doit pas être considéré comme une preuve de conformité » (ENISA, juillet 2026). Le rapport précise aussi que la correspondance entre ses cinq domaines et les dispositions du CRA est indicative, et que deux domaines, la gouvernance-documentation et la sensibilisation-compétences, ne correspondent à aucune exigence autonome du règlement.
La raison tient à la nature de l'exercice. Le modèle répond à la question « avec quelle constance nos processus fonctionnent-ils ? ». Un dossier CRA répond à une autre question : quelles obligations du règlement sont couvertes, par quels documents, pour quel produit. La documentation technique de l'annexe VII, la déclaration UE de conformité, le marquage CE, la politique de divulgation coordonnée des vulnérabilités, la procédure de notification en 24 h et 72 h : chacun de ces éléments existe ou n'existe pas, et le règlement fixe leur contenu. Une moyenne de 4,2 sur cinq domaines ne dit pas si la déclaration de conformité est rédigée.
Le modèle ne distingue pas non plus les classes de produits (par défaut, importants, critiques) ni les voies d'évaluation de la conformité qui en découlent, un choix assumé pour rester généraliste. Sur la notification, il se limite à vérifier que l'entreprise connaît les attentes de base du règlement, sans entrer dans les échéances de l'article 14.
Articuler les deux exercices
Les deux lectures se complètent. Le modèle ENISA donne en deux heures un positionnement de processus, avec un vocabulaire simple (basique, intermédiaire, avancé) qui se communique bien en interne. La préparation du dossier CRA demande ensuite un suivi obligation par obligation : le périmètre et le calendrier du règlement d'un côté, les livrables de l'autre.
Un ordre de travail raisonnable pour une PME concernée : passer l'autoévaluation ENISA pour situer les cinq domaines et identifier ceux notés 1 ou 2 ; traiter en priorité la gestion des vulnérabilités si elle est faible, car les obligations de notification s'appliquent avant tout le reste ; puis construire le dossier au niveau des obligations, avec les documents exigés. Le domaine sensibilisation et compétences, absent du règlement en tant qu'exigence autonome, reste une capacité d'appui réelle ; un programme de sensibilisation tenable sans équipe dédiée existe.
Komplyo suit les cinq mêmes domaines au niveau de chaque obligation : 57 exigences CRA tracées, dérivées pour partie des réponses ISO 27001 et RGPD déjà données, avec les livrables associés (politique CVD, procédure de notification, squelette de documentation technique annexe VII). Le diagnostic CRA couvre le même terrain en 23 questions, en quelques minutes, et ses réponses sont reportées dans l'évaluation complète. La même réserve s'applique aux deux exercices : un pourcentage de préparation, comme un profil de maturité, mesure l'avancement, pas la conformité.